VPN arxasında CloudFront geo-bloklaması: çıxışı diaqnoz et

Geo məhdudiyyəti IP ünvanı ilə bağlı qərardır və VPN xidmətin gördüyü ünvanı dəyişir. Bu tək cümlə dəstək növbəsinə gələn qarışıq hesabatların çoxunu izah edir: «sayt evdə işləyir, tuneldə uğursuz olur» və «sayt tuneldə işləyir, amma ofisdə başqa heç kim onu yükləyə bilmir» eyni mexanizmin əks nəticələr verməsidir. Bu təlimat diaqnozu səbəbləri istisna edən ardıcıllıqla, kənarın sizə həqiqətən nə dediyindən başlayaraq izləyir. Eyni çıxış ünvanı bir nəzarətdən keçib növbətində uğursuz ola bilər, çünki hər nəzarət həmin ünvanın fərqli xassəsini qiymətləndirir.

Heç nəyi dəyişməzdən əvvəl 403-ü oxuyun

Geo blok və WAF bloku hər ikisi 403 kimi gəlir və onlar fərqli yerlərdə düzəldilir. Cavab başlıqlarını və gövdənin ilk sətrini yazın, çünki CloudFront hansı qatın cavab verdiyini bildirən keş başlığı və səbəb sətri əlavə edir:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Paylama sorğunu coğrafiyaya görə özü bloklayanda gövdədə ölkə məhdudiyyətini adlandıran mesaj olur. Sorğunu WAF qaydası bloklayanda gövdə adətən ümumi qadağan səhifəsidir və başlıqlardakı paylama sorğu ID-si WAF qeydlərinə apardığınız şeydir. Bunu səhv etmək sizi dərəcə əsaslı qayda problemi üçün ölkə icazə siyahısına göndərir, bu da uğur qazana bilməyən bir günlük işdir.

Addım 1: paylamanın hansı ünvanı gördüyünü təsdiqləyin

Şəbəkədən xarici dünyanın nə gördüyünü soruşun, uğursuz brauzerin istifadə etdiyi eyni maşından və eyni marşrutdan. curl -s https://checkip.amazonaws.com çağıranın ictimai ünvanını qaytarır, VPN müştərisi üçün bu abunəçinin ev bağlantısı deyil, çıxışdır:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Əgər bu ünvan provayderinizin başqa ölkədəki çıxışına aiddirsə, geo qərar artıq verilib və müştəridə heç nə onu dəyişməyəcək. Ünvana toxunmadan əvvəl onu bilete yazın, çünki bu, hesabatda sizinlə xidmətin razılaşdığı yeganə faktdır.

Addım 2: ölkəni reputasiyadan ayırın

CloudFront izləyicinin yerini sorğunun mənbə ünvanına əsaslanan üçüncü tərəf GeoIP verilənlər bazasından müəyyən edir və xəritələmə dəqiq təyinat deyil, təxmini və regionaldır. Yer müəyyən edilə bilmədikdə sənədləşdirilmiş standart məzmunu təqdim etməkdir. Beləliklə üç mümkün hal var: çıxış bloklanmış ölkəyə xəritələnir, çıxış icazəli ölkəyə xəritələnir, ya da verilənlər bazasının fikri yoxdur və sorğu davam edir.

Bloklanmış ölkədəki istifadəçi provayderin orada çıxışı varsa icazəli ölkədə kimi görünə bilər, icazəli ölkədəki istifadəçi isə çıxış başqa yerdə qeydiyyatda olduğu üçün bloklana bilər. Nəticələrin heç biri məhdudiyyətin pozulduğunu sübut etmir. Hər ikisi məhdudiyyətin ona verilən ünvan üzərində işləməsidir, CloudFront geo məhdudiyyəti sənədləri bunu təsvir edir.

Reputasiya ikinci oxdur və tuneldən sağ çıxır. AWS WAF anonim IP idarə olunan qayda qrupu VPN, proksi, Tor qovşaqları və hostinq provayderlərindən gələn sorğuları bloklamaq üçün qurulub, buna görə ölkə yoxlamasından keçən sorğu yenə də ünvanın harada olduğuna görə deyil, nə olduğuna görə rədd edilə bilər. Blok tuneli bulud hostuna köçürdüyünüz zaman başlayıbsa, ehtimal ki, bu qatdır.

Addım 3: kvota davranışını yoxlayın

Paylaşılan çıxışlar üçüncü yolla uğursuz olur. IP başına dərəcə limitləri və sessiya sayları bir ünvanı bir müştəri kimi qəbul edir və istehlakçı çıxışı eyni vaxtda çoxlu abunəçi daşıyır, buna görə ev bağlantısından adi görünən sorğu nümunəsi çıxışdan avtomatlaşdırma kimi görünür. Simptom öz-özünə keçən məhdudlaşdırma və ya müvəqqəti blokdur, coğrafi səhv mesajı deyil.

Paylama həmçinin sessiyaları ünvan başına qəsdən saya bilər, məsələn DynamoDB-yə yazan Lambda@Edge funksiyası ilə. Bu çıxışın arxasındakı şəxsi müəyyən etmir, amma bir ünvanın bir müştəri kimi davranmasına səbəb olur, bu da çox vaxt əsl məqsəddir. Hər hansı həddi tənzimləməzdən əvvəl şikayətin arxasındakı fərqli ünvanları qeyd edin, çünki iki yüz masa qarşısındakı korporativ NAT kənardan tam olaraq məşğul çıxış kimi görünür. Korporativ NAT, universitet şəbəkəsi və ya hamısı bir ünvan təqdim edən böyük ev təsərrüfatından yanlış pozitivlər gözləyin.

Coğrafiyanı günahlandırmazdan əvvəl WAF nümunə sorğularına və dərəcə əsaslı qayda metrikalarına baxın. Çıxışın sorğu həcmində işə düşən qayda aydın iz qoyur və həm də düzəlişin limit tənzimləməsi, yoxsa fərqli çıxış yolu olduğunu bildirir.

Nəyi və hansı ardıcıllıqla dəyişmək lazımdır

Əvvəlcə nəzarətin nə üçün olduğuna qərar verin. Regional kataloqu saxlamaq, sui-istifadəni məhdudlaşdırmaq və müqaviləni icra etmək üç fərqli məqsəddir və yalnız birincisi ölkə siyahısı ilə həll olunur. Məqsəd sui-istifadə nəzarətidirsə, çıxış şəxsiyyətin yanlış vahididir və heç bir icazə siyahısı paylaşılan ünvanı etibarlı etməyəcək.

Əgər icazə siyahısı üçün həqiqətən sabit ünvan lazımdırsa, ayrılmış və ya statik çıxış kömək edir, çünki ünvan qeydə alına bilər və dəyişmir. Bu ünvanı yaşayış ünvanı etmir və GeoIP verilənlər bazasının ona təyin etdiyi ölkəni də dəyişmir. Biri işləyənə qədər çıxışları döndərmək müvəqqəti reputasiya dəyişikliyidir, siyasətin düzəlişi deyil.

Sonra nəticəni sorğu sahibinin işlətdiyi terminlərlə yazın: bu ünvan ölkəyə, reputasiyaya və ya dərəcəyə görə bloklanıb və dəyişəcək nəzarət budur. Daha qeyri-müəyyən ifadə gələn həftə fərqli çıxışla eyni bileti dəvət edir.